关于Django RESTframework JWT 验证

最新推荐文章于 2024-09-21 20:08:30 发布

東陽賢

最新推荐文章于 2024-09-21 20:08:30 发布

阅读量747

点赞数 1

分类专栏： Python 文章标签： Django JWT Django RESTframework 验证 RESTframework验证 python

本文链接：https://blog.csdn.net/huazhiliandong/article/details/82876123

版权

Python 专栏收录该内容

9 篇文章 0 订阅

订阅专栏

Django RESTframework JWT验证介绍

在用户注册或登录后，我们想记录用户的登录状态，或者为用户创建身份认证的凭证。我们不再使用Session认证机制，而使用Json Web Token认证机制。

什么是JWT

Json web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（(RFC 7519)。
适用于分布式站点的单点登录（SSO）场景，一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密。

传统的session认证

1、每个用户经过我们的应用认证之后，我们的应用都要在服务端做一次记录，以方便用户下次请求的鉴别，通常而言session都是保存在内存中，而随着认证用户的增多，服务端的开销会明显增大。
2、如果认证的记录被保存在内存中的话，这意味着用户下次请求还必须要请求在这台服务器上,这样才能拿到授权的资源，这样在分布式的应用上，相应的限制了负载均衡器的能力。这也意味着限制了应用的扩展能力。
3、因为是基于cookie来进行用户识别的, cookie如果被截获，用户就会很容易受到跨站请求伪造的攻击。

基于token的鉴权机制

基于token的鉴权机制类似于http协议也是无状态的，它不需要在服务端去保留用户的认证信息或者会话信息。这就意味着基于token认证机制的应用不需要去考虑用户在哪一台服务器登录了，这就为应用的扩展提供了便利。

流程

   1、用户使用用户名密码来请求服务器
   2、服务器进行验证用户的信息，通过验证时会发送给用户一个token
   3、客户端存储token，并在每次请求（需要进行身份验证的请求）附送上这个token值。它应该保存在请求头里，并且服务端要支持CORS(跨来源资源共享)策略。

JWT的构成

第一部分我们称它为头部（header)，第二部分我们称其为载荷（payload, 类似于飞机上承载的物品)，第三部分是签证（signature)。

header

jwt的头部承载两部分信息：

声明类型，这里是jwt
声明加密的算法通常直接使用 HMAC SHA256

{
‘typ’: ‘JWT’,
‘alg’: ‘HS256’
}
然后将头部进行base64加密（该加密是可以对称解密的),构成了第一部分

payload

载荷就是存放有效信息的地方，这些有效信息包含三个部分:

标准中注册的声明。
公共的声明。可以添加任何的信息，一般添加用户的相关信息或其他业务需要的必要信息.但不建议添加敏感信息，因为该部分在客户端可解密。
私有的声明。提供者和消费者所共同定义的声明，一般不建议存放敏感信息，因为base64是对称解密的，意味着该部分信息可以归类为明文信息

{
“sub”: “1234567890”,
“name”: “John Doe”,
“admin”: true
}
然后将其进行base64加密，得到JWT的第二部分。